Каждый второй владелец малого бизнеса в России считает, что кибербезопасность — это дорого и сложно. Но статистика говорит обратное: по данным МВД России, в 2024 году ущерб от киберпреступлений достиг 200 миллиардов рублей, причем значительная часть атак пришлась именно на малый и средний бизнес. Согласно исследованию «Лаборатории Касперского», Россия является самой атакуемой страной в мире, и большая часть атак направлена именно на малый и средний бизнес. При этом средний ущерб для малого бизнеса от одной успешной атаки оценивается в 2,5–5 миллионов рублей — сумма, которая может стать критической для развивающейся компании.
Почему малый бизнес стал главной мишенью для хакеров?
Современные киберпреступники перешли на автоматизированные системы атак. Они больше не выбирают цели вручную — вместо этого специальные боты круглосуточно сканируют интернет в поисках уязвимых систем. Как отмечает Рустам Гусейнов, председатель ИБ-кооператива RAD COP: «Периметра в традиционном виде нет. Классическая информационная безопасность строилась в мире до гаджетов, до удаленки, до мобильных телефонов».
Особенно уязвимы компании, которые используют устаревшие версии 1С или имеют открытые RDP-порты. 43% успешных атак на малый бизнес начинаются именно с эксплуатации этих уязвимостей. При этом, согласно данным компании F6, в 2024 году было зафиксировано более 500 атак программ-шифровальщиков в России, что почти в 1,5 раза больше, чем в 2023 году.
Автоматизированные атаки шифровальщиков стали максимально дешевы для злоумышленников. Они сканируют интернет как роботы-пылесосы — без разбора. Ваша незащищенная RDP-сессия или устаревшая 1С — это как открытая дверь в квартиру. Вор зайдет не потому, что знает, что у вас есть ценности, а потому что дверь открыта.
Реальные угрозы: от шифровальщиков до социальной инженерии
Наиболее разрушительными для малого бизнеса становятся атаки шифровальщиков. Антон Бочкарев, CEO «Третья Сторона», приводит характерный пример:
«Казанская компания, которая занимается сбором и поставкой овощей и фруктов от местных производителей в сетевые гипермаркеты, “получила” шифровальщика с выкупом 1,7 млн рублей. Вся их работа была завязана на две базы 1С, которые и были зашифрованы. При их низкой маржинальности это стало катастрофой. В итоге они сторговались до 1,5 млн и заплатили, что, конечно же, не рекомендуется. Я даже не знаю, получилось ли у них полноценно восстановить базы, но это было для бизнеса трагедией и огромным ущербом».
Однако кибератаки — это лишь верхушка айсберга. Не менее опасны угрозы, исходящие изнутри офиса, причем часто по неосторожности. Как справедливо отмечает Дмитрий Федосов, менеджер по продажам и проектам компании MyQ, многие предприниматели упускают из виду риски, которые буквально лежат на поверхности.
«В любой компании, подойдя к принтеру, вы можете увидеть кипы невостребованных документов — с финансовой информацией, персональными данными и т. д.», — констатирует эксперт.
Эта бытовая ситуация на самом деле создает серьезную брешь в защите данных. Пока бизнес борется с внешними кибератаками, конфиденциальные документы могут свободно перемещаться по офису или месяцами храниться в общих принтерах.
Дмитрий Федосов предлагает системный подход к решению проблемы:
«Системы управления печатью призваны повысить уровень безопасности: не только предотвратить потерю информации, но и ограничить доступ к ИТ-инфраструктуре через печатающие устройства». Особенно важно, что такая защита работает даже в случае проникновения злоумышленника в офис — «даже если какой-то нехороший человек попытается воспользоваться печатным устройством как уязвимостью, он не сможет этого сделать».
При этом, как отмечает Александр Петров, руководитель направления Систем управления печатью, Мастер-РМ, техническая защита бессильна против человеческого фактора:
«Мы можем закрыть периметры со всех сторон, но никогда не закроем человека. Каждый сотрудник — бухгалтер, диспетчер, даже уборщица — может стать причиной инцидента».
Статистика Лаборатории Касперского подтверждает: 58% утечек данных в малом бизнесе происходят из-за ошибок сотрудников. В малом бизнесе не нужны дорогие системы обучения. Достаточно простого правила: раз в месяц показывать сотрудникам 5-минутный ролик о самых частых схемах мошенничества. Это как мытье рук — базовая гигиена, которая предотвращает 80% проблем.
Нужна ли малому бизнесу защита вообще? Конкретные шаги
Владельцы малого бизнеса часто считают кибербезопасность роскошью, которую могут позволить себе только крупные компании. Горизонт планирования — 3-6 месяцев, все ресурсы брошены на развитие, и кажется, что думать об ИБ просто некогда.
Начинать защиту нужно с базовых мер, которые закрывают 80% угроз. Рустам Гусейнов рекомендует:
«Какая-то базовая гигиена внешнего периметра, ролевая модель, разграничение прав доступа, резервное копирование. Ориентируйтесь на CIS Controls — это максимально утилитарный стандарт».
Сергей Ланских, генеральный директор Sympace, добавляет важный критерий для принятия решения:
«Если у вас есть хотя бы один из трех пунктов: клиентская база, финансовые потоки или репутация — у вас уже есть что терять. Не обязательно быть крупной компанией, чтобы стать жертвой. Достаточно быть доступной мишенью. Современные кибератаки — это массовый промысел, где валят самого слабого, а не самого вкусного».
Критически важны три направления:
- Резервное копирование по правилу 3-2-1 (три копии, на двух разных носителях, одна в другом месте)
- Защита учетных записей — двухфакторная аутентификация везде, где это возможно
- Обучение сотрудников — регулярные короткие инструктажи по кибергигиене
Облачные решения vs локальные серверы
Многие до сих пор считают, что свои серверы надежнее облаков.
Однако, для малого бизнеса облачные решения часто становятся оптимальным выбором. Арсений Маслов, основатель Клуба профессиональных управленцев PMPRO.club, делится опытом:
«Мы приняли решение делать все в облаках. Переложили на провайдеров ответственность за минимальный гигиенический минимум защиты. Это самый лучший способ для маленькой компании не думать о рисках».
При этом он отмечает передовой опыт других отраслей: «Банки и страхования — это самые продвинутые отрасли в России в плане ИБ. У страховщиков и банков вообще все хорошо. Нужно просто, когда создаешь свою компанию или начинаешь что-то делать, перекладывать груз ответственности на того провайдера, который готов за тебя его тащить».
Для малого бизнеса облака — это как аренда охраняемого офиса вместо попыток самостоятельно охранять частный дом. Вы платите только за долю в уже готовой системе безопасности. Особенно это актуально для компаний до 100 сотрудников — строить свою ИБ-инфраструктуру с нуля просто нерентабельно.
Исследование Gartner показывает, что компании, использующие облачные сервисы с базовой защитой, на 40% реже становятся жертвами успешных атак по сравнению с теми, кто использует локальные серверы без должной защиты.
План действий на первые 30 дней
Павел Ерастов, исполнительный директор Sympace, подчеркивает важность системного подхода:
«Владелец бизнеса должен заботиться о безопасности как о замке в своем доме. Обязательно должны быть инструкции: куда ходить, куда не ходить».
Практический план защиты:
- Неделя 1-2: аудит внешнего периметра, закрытие открытых RDP/SSH-портов, обновление ПО
- Неделя 3-4: настройка резервного копирования, внедрение двухфакторной аутентификации
- Постоянно: обучение сотрудников, мониторинг упоминаний компании в сети
Как показывает практика, базовая защита малого бизнеса — это не вопрос больших бюджетов, а вопрос правильных приоритетов. Инвестиции в кибербезопасность должны быть пропорциональны рискам, но игнорировать их полностью — значит подвергать бизнес неоправданной опасности.
«Идея в том, что для малого бизнеса защита должна быть максимально автоматизированной и бизнес-ориентированной, — резюмирует Антон Бочкарев. — Их защита должна стоить копейки и не требовать постоянного вмешательства. Задача — чтобы защита просто работала».
Современные решения позволяют малым компаниям получить надежную защиту без серьезных финансовых затрат — главное вовремя начать действовать.
Мы в Sympace специализируемся на создании экономичных решений для малого и среднего бизнеса. Наш опыт показывает: правильная базовая защита стоит дешевле, чем один день простоя компании после атаки шифровальщика. Не ждите, пока проблема постучится в дверь — закройте ее на замок заранее.